IPv4-IPv6网络安全防护要求 第1部分：IP承载网

ICS33.040.40

CCSM32

中华人民共和国国家标准

GB/TXXXXX.1—XXXX

IPv4/IPv6网络安全防护技术规范

第1部分：IP承载网

IPv4/IPv6securityprotectionrequirements-Part1:IPbearernetwork

（征求意见稿）

在提交反馈意见时，请将您知道的相关专利连同支持性文件一并附上。

XXXX-XX-XX发布XXXX-XX-XX实施

GB/T××××—××××

前言

本文件按照GB/T1.1-2020《标准化工作导则第1部分：标准化文件的结构和起草规则》的规定起草。

GB/TXXXXX《IPv4/IPv6网络安全防护技术规范》与GB/TXXXXX《IPv6网络安全设备技术要求》、

GB/TXXXXX《IPv6网络设备安全技术要求》共同构成支撑IPv6安全的国家标准体系。

本文件是GB/TXXXXX《IPv4/IPv6网络安全防护技术规范》的第1部分，GB/TXXXX已经发布了以

下部分：

——第1部分：IP承载网

——第2部分：移动通信网

——第3部分：互联网数据中心

——第4部分：内容分发网络

注意本文件的某些内容可能涉及专利。本文件的发布机构不承担识别专利的责任。

本文件由中华人民共和国工业和信息化部提出。

本文件由全国通信标准化技术委员会(SAC/TC485)归口。

本文件起草单位：

本文件主要起草人：

II

GB/T××××—××××

引言

根据《关于加快推进互联网协议第六版（IPv6）规模部署和应用工作的通知》，为更好面对网络

复杂化和用户规模扩大化带来的安全挑战，推动IPv6网络安全工作的标准化，我国制定了一系列IPv6

安全标准。其中，GB/TXXXXX《IPv4/IPv6网络安全防护技术规范》是为规范电信网和互联网行业中

重要网络单元在IPv6网络中所开展的安全防护工作，拟分为以下部分：

——第1部分：IP承载网。目的在于IPv6部署后，推动IP承载网的安全防护工作。

——第2部分：移动通信网。目的在于IPv6部署后，推动移动通信网的安全防护工作。

——第3部分：互联网数据中心。目的在于IPv6部署后，推动互联网数据中心的安全防护工作。

——第4部分：内容分发网络。目的在于IPv6部署后，推动内容分发网络的安全防护工作。

III

GB/T××××—××××

IPv4/IPv6网络安全防护技术规范第1部分：IP承载网

1范围

本文件规定了支持IPv4/IPv6协议的IP承载网的安全防护要求和检测要求，包括网络安全、设备安全、

软件及业务系统安全、物理环境安全和管理安全等要求。

本文件适用于支持IPv4/IPv6协议的IP承载网安全防护工作开展和推进。

2规范性引用文件

下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款。其中，注日期的引用文件，

仅该日期对应的版本适用于本文件；不注日期的引用文件，其最新版本（包括所有的修改单）适用于本

文件。

GB/T22239-2019信息安全技术网络安全等级保护基本要求

GB/T41267-2022网络关键设备安全技术要求交换机设备

GB/T41269-2022网络关键设备安全技术要求路由器设备

GB/T18018-2019信息安全技术路由器安全技术要求

GB/T21050-2019信息安全技术网络交换机安全技术要求

GB/T29240-2012信息安全技术终端计算机通用安全技术要求与测试评价方法

GB/T39680-2020信息安全技术服务器安全技术要求和测评准则

YD/T1170-2001IP网络技术要求——网络总体

YD/T1478-2006电信管理网安全技术要求

YD/T2698-2014电信网和互联网安全防护基线配置要求及检测要求网络设备

YD/T2701-2014电信网和互联网安全防护基线配置要求及检测要求操作系统

YD/T2700-2014电信网和互联网安全防护基线配置要求及检测要求数据库

YD/T2703-2014电信网和互联网安全防护基线配置要求及检测要求Web应用系统

YD/T2702-2014电信网和互联网安全防护基线配置要求及检测要求中间件

YD/T1163-2001IP网络安全技术要求——安全框架

3术语和定义

下列术语和定义适用于本文件。

3.1

IP承载网IPbearernetwork

以IP技术（包括IPv4和IPv6技术）为基础构建的用于为其他业务网互联提供连接服务的承载网络。

IP承载网的基本功能主要包括为上层业务网络提供分组数据的网络路由、交换和传送等，不直接接入互

联网。

4缩略语

下列缩略语适用于本文件。

BGP边界网关协议BorderGatewayProtocol

DDoS分布式拒绝服务DistributedDenialofService

DoS拒绝服务DenialofService

HTTPS超文本传输安全协议HyperTextTransferProtocoloverSecureSocket

Layer

ICMPInternet控制报文协议InternetControlMessageProtocol

IP网际协议InternetProtocol

1

GB/T××××—××××

IPv4IP协议第4版InternetProtocolVersion4

IPv6IP协议第6版InternetProtocolVersion6

ISIS中间系统到中间系统Intermediatesystemtointermediatesystem

IT信息技术InformationTechnology

MPLS多协议标签交换Multi-ProtocolLabelSwitch

NAT-PT附带协议转换器的网络地址转换器NetworkAddressTranslation-Protocol

NDP邻居发现协议NeighborDiscoveryProtocol

NFV网络功能虚拟化NetworkFunctionVirtualization

QoS服务质量QualityofService

QPPB通过BGP的QoS策略传播QosPolicyPropagationthroughtheBGP

OSPF开放式最短路径优先OpenShortestPathFirst

RSVP资源预留协议ResourceReSerVationProtocol

SDN软件定义网络Software-DefinedNetworking

SNMP简单网络管理协议SimpleNetworkManagementProtocol

SSH安全外壳SecureShell

SSL安全套接层SecureSocketLayer

TLS传输层安全TransportLayerSecurity

USM用户安全模型UserSecurityModel

VACM基于视图的访问控制模型View-basedAccessControlModel

VNF虚拟网络功能VirtualNetworkFunction

5IP承载网安全防护概述

5.1IP承载网安全防护范围

我国公众IP承载网主要包括IP骨干网、IP城域网，IP承载网安全防护的范畴包括基于IP协议的承载

网络本身以及与之相关联且未纳入其他单元（如，支撑网、非核心生产单元等）安全定级范围的运维、

管理、监测等辅助性IT系统。

5.2IP承载网安全防护内容

应按照国家、行业的网络安全等级划分标准确定安全等级，并依据安全等级开展包括网络安全、设

备安全、物理环境安全和管理安全等五个层面的安全防护工作。其中：

a）网络安全：主要包括IP承载网和相关系统层面的结构拓扑、冗余保护与灾备恢复、网络管理和

网络攻击防范等方面内容和要求；

b）设备安全：主要包括IP承载网相关数据网络设备和通用主机设备安全的内容和要求；

c）物理环境安全：除GB/T22239-2019要求外，还包括防虫鼠、机房承重等方面内容和要求；

d）管理安全：除GB/T22239-2019要求外，还包括风险评估、应急预案等方面内容和要求；

e）软件及业务系统安全：主要包括IP承载网相关软件及业务系统安全在身份鉴别、访问控制、资

源管控、业务连续性、安全审计、虚拟化安全、能力开放安全等通用要求，以及网络切片安全

等特定业务相关安全要求。

6IP承载网安全防护要求

6.1第1级要求

本文件对安全等级为第1级的IP承载网暂不作要求。

6.2第2级要求

6.2.1网络安全要求

网络拓扑

IP承载网的网络拓扑应满足以下要求：

a）IP承载网的网络结构与组织符合YD/T1170-2001的要求。

b）IP承载网节点域内接口应使用内部路由协议（如，OSPF、ISIS等）；域间接口应使用外部路由

协议（如，BGP等）。

2

GB/T××××—××××

c）IP承载网的地址应统一规划和分配，体现网络层次性和有利于路由的组织，IPv6地址能够体现

客户信息和业务类别特征，易于QoS保障与用户溯源，IP承载网应提高地址利用率并预留一定

的地址空间，以满足业务发展的需求。

网络保护与恢复

IP承载网的网络保护与恢复应满足以下要求：

a）IP承载网节点重要部件和模块（如，电源模块、主控模块等）应配置为主备用方式。

b）IP承载网重要节点（如，核心节点、汇接节点等）间链路应采取链路冗余保护措施（如，链路

1+1保护等），以保证网络具有抗灾以及灾难恢复能力。

c）IP承载网应根据业务或应用的需求采用链路聚合、转发检测、保护倒换、重路由等安全保护措

施。

d）IP城域网络间应通过骨干网络或城域汇接节点实现互联。

e）IP承载网相关关键数据（如，业务数据、配置数据、性能数据、告警数据等）应有本地数据备

份，并按介质特性对备份数据进行定期的有效性验证（至少每季度一次）。

f）IP承载网的灾难恢复应根据灾难的情况，首先保证应急通信、重要应用和业务网络的通信，然

后恢复一般应用和业务网络的通信。

g）IP承载网网络灾难备份和恢复时间应满足行业管理、网络和业务运营商应急预案的要求。

网络管理

IP承载网的网络管理应满足以下要求：

a）IP承载网应根据网络结构形式采用分域的管理方式，并根据实际需求或运维体制设置分级权限，

实现对网络的灵活管理。

b）IP承载网业务网络与运维、管理、监测等辅助系统（或平台）间应实现逻辑隔离，并启用安全

域访问控制策略，严格限制对有关设备的访问。

c）IP承载网网络管理应采用安全的管理、控制信息的分发和过滤机制，网络管理会话信息应通过

加密方式传送。

d）网络设备应设置专用管理接口，对于目的地址为设备管理接口的非管理报文、目的地址为设备

数据业务接口的管理报文应进行严格过滤和限制。

e）网络设备如使用远程运维管理，专用管理通道应支持使用非明文数据传输协议对设备进行管理，

如HTTPS、SSHv2、SNMPv3等，保障通信数据的保密性、完整性。

f）网络设备如果具备IPv4与IPv6双栈功能，对基于IPv4和IPv6的业务应设置相同级别的管理控制

手段。

g）IP承载网网络管理应使用用户安全鉴别和认证措施，应满足YD/T1478-2006的要求。

h）IP承载网应有与当前网络节点、链路等资源配置和运营情况相符合的网络拓扑图（或记录完整

拓扑信息的运维文档）。

网络安全防范

IP承载网的网络安全防范应满足以下要求：

a）IP承载网相关系统、设备对各类管理和维护用户应启用登录失败保护和处理措施。

b）在数据转发平面，IP城域网核心层、汇聚层和接入层都应启用源地址认证策略，以有效防止网

内地址仿冒。

c）IP承载网应采用有效的QoS和流量管理策略，应保证管理和控制信息具有较高的优先级，应对

IPv4协议下的网内广播、IPv6协议下的泛播以及两种协议下的组播类数据流量进行必要的限制

和管理。

d）网络设备的软件应具备实时操作、信息处理、更新升级、差错防护、故障定位等功能。

3

GB/T××××—××××

e）与IP承载网及其业务相关联的运维、管理、监测等系统的应用应当限制和禁用可能造成漏洞的

服务和端口，应在系统边界启用必要的防攻击、防入侵措施（如安装和使用防火墙、入侵检测

等安全设备等），系统相关软件应及时安装补丁，定期检查更新，及时消除可能的隐患。

f）启用了NAT的网络设备应对数据速率进行限制并对IP源地址进行检查。

g）各类设备及系统应启用完整的安全日志功能，并实现日志的管理和安全审计，日志记录保存时

间不少于180天。日志应包含访问、配置、状态、统计、告警等安全相关事件的来源、时间、描

述等信息内容。

h）应在路由协议交互时采取加密认证的方式，并对协议宣告的前缀信息进行合法性验证。

i）NTP作为网络时钟同步协议，在IP承载网使用时，宜配置为密文认证模式。

网络监测

IP承载网的网络监测应满足以下要求：

a）IP承载网应具有监测常见网络攻击、差错防范和处理的设计，在边界部署和启用监测攻击、恶

意代码防范/入侵防范技术手段，防范恶意代码以及针对网络设备和IT系统的常见攻击及入侵

（如，IPv4协议下的端口扫描、IP碎片攻击、网络蠕虫等；IPv6协议下的网络嗅探、邻居发现

欺骗等；以及两种协议下都存在的DoS/DDoS攻击等）。

b）IP承载网应采用有效的流量监测措施，应根据不同的业务类型如网页访问、在线视频、在线游

戏、VPN访问等业务产生的流量进行平均流量监测及峰值流量监测。

c）IP承载网的上行流量（流出流量）中虚假源地址流量不超过全部上行流量的1%。

d）IP承载网路由器应具备流量元数据采集和转发功能，采集格式支持NetFlow（V5及以上）、

NetStream（V5及以上）或sFlow（V4及以上），采样率不低于1/1000。

e）IP承载网和相关辅助系统在遭受攻击或入侵时，安全设备应能及时准确的提供攻击或入侵的报

警、监测信息。

f）IP承载网应对重要网络设备和主机设备进行性能及运行状态信息监测，包括设备的CPU、硬盘、

内存、网络等资源的使用情况，降低到一定阈值时应能自动报警。

g）IP承载网内IPv6inIPv4隧道应该在解封装前对报文的源、目的IPv4地址进行合法性检查。

h）IP承载网应对6to4隧道内经解析后的IPv6流量进行邻居发现控制和ICMP重定向限制。

6.2.2设备安全要求

数据网络设备安全要求

IP承载网相关数据网络设备主要包括各类路由器、交换机设备等，相关设备应满足以下要求：

a)网络设备的安全应满足相关设备技术规范、设备安全要求以及设备入网管理相关要求的规定，

包括GB/T18018-2019、GB/T21050-2019、GB/T41267-2022、GB/T41269-2022等。网络设

备的安全基线配置应满足YD/T2698-2014相关要求。。

b)现网使用的网络设备应进行覆盖用户安全标识和认证、数据保护、设备容错、访问控制、安全

日志与审计、资源调度和安全管理等方面内容的安全检测，出具安全测试及验收报告并妥善保

存。

通用主机设备安全要求

IP承载网相关通用主机设备主要包括各类通用服务器、工作站、终端、数据库等，相关设备应满

足以下要求：

a)通用主机设备的安全应满足相关设备技术规范、设备安全要求。包括GB/T29240-2012、GB/T

39680-2020等。相关设备安全基线配置应满足相应标准要求，通用主机设备的操作系统安全基

4

GB/T××××—××××

线配置应满足YD/T2701-2014要求，数据库的安全基线配置应满足YD/T2700-2014要求，Web

应用系统的安全基线配置应满足YD/T2703-2014要求等。。

b)现网使用的通用主机设备应进行覆盖用户安全标识和认证、数据保护、设备容错、访问控制、

安全日志与审计、资源调度和安全管理等方面内容的安全检测，出具安全测试及验收报告并妥

善保存。

c)配置了IPv6的主机设备应安装主机防火墙，应对无状态自动配置进行控制并能够有效处理协议

报文选路扩展头。

6.2.3物理环境安全要求

除满足GB/T22239-2019中第二级的安全物理环境要求外，还需满足以下要求：

a）IP承载网相关设备所处机房应具备防虫防鼠等相关措施，以有效防范鼠虫蚁害。

b）对于部署在非机房环境的IP承载网，应采取相应措施防范近端攻击，包括：应将设备或主要部

件进行固定，并设置明显的不易除去的标记，应将通信线缆铺设在隐蔽处，可铺设在地下或管

道中。

6.2.4管理安全要求

除满足GB/T22239-2019中第二级的安全管理制度、安全管理机构、安全管理人员、安全运维管

理相关要求外，还应满足以下要求：

a）IP承载网及其所属各类设备、系统应定期进行安全风险评估（至少每两年一次），风险评估范

围应与IP承载网安全防护范围一致。

b）IP承载网安全风险评估至少应覆盖网络安全、设备安全、物理环境安全等相关技术风险和人员

安全、运维安全等相关管理风险，至少包含IP承载网相关资产、脆弱性、威胁、安全措施、风

险分析等要素和内容，并根据评估结果制定相应的风险处理计划。

c）IP承载网运维应设有相应的管理责任人。

d）IP承载网应制定灾难恢复预案，并定期组织灾难恢复预案的教育培训（至少每半年一次）和演

练（至少每年一次）。

6.2.5软件及业务系统安全要求

软件及业务系统安全应满足以下要求：

a）IP承载网业务网络与运维、管理、监测等辅助系统（或平台）应对用户身份进行标识和鉴别，

确保身份标识具有唯一性，并保证用户身份鉴别信息不易被冒用。

b）应使用密码技术对IP承载网业务网络与运维、管理、监测等辅助系统（或平台）用户身份鉴别

信息进行保密性和完整性保护。

c）应依据最小授权原则，为IP承载网业务网络与运维、管理、监测等辅助系统（或平台）用户分

配账户及相应的访问操作权限，并按安全策略要求控制用户对IP承载网业务、数据、网络资源

等的访问。

d）应对IP承载网业务网络与运维、管理、监测等辅助系统（或平台）用户实施账户管理，及时重

命名或删除默认账户，修改默认账户的默认登录口令，删除或停用多余的、过期的账户，并避

免共享账户的存在。

e）IP承载网业务网络与运维、管理、监测等辅助系统（或平台）预装软件、补丁包/升级包应经过

防恶意程序检测。

f）使用了NFV和SDN技术的IP承载网，应确保多个网络切片间的安全隔离，并确保网络切片实例

资源不会相互影响。

g）使用了NFV和SDN技术的IP承载网，应确保虚拟机镜像、容器镜像、快照等存储的安全性，防

止非授权访问。

5

GB/T××××—××××

h）使用了NFV和SDN技术的IP承载网，应在VNF实例化、实例管理、VNF弹性伸缩、实例终止过

程中，对VNF实施访问控制，如认证和权限验证，并在实例终止时，彻底清除VNF实例所占用

的虚拟内存以及存储资源上的信息。

i）IP承载网向第三方提供标准化服务接口通信时，应支持加密隧道模式，提供不同维度的业务层

访问认证。

j）IP承载网业务网络应部署和启用包括恶意代码防范，对恶意代码进行检测和清除，并维护恶意

代码防护机制的升级与更新。

k）IP承载网业务网络应将恶意域名、数据报文特征与IPv6地址进行关联，形成新的威胁规则/特征

库，用于网络安全检测与防护。

6.3第3级要求

6.3.1网络安全要求

网络拓扑

除满足第2级的要求之外，还应满足：

a）IP承载网结构根据网络的运营、管理或区域等因素实现分层和分级，IP承载网自治域划分应与

网络结构和组织形式保持一致。

b）IP承载网核心节点间应采用全网状连接。

c）IP承载网应能根据不同的网络类型采用相应的IPv4/IPv6架构，能够实现业务与管理的分层和备

份。

d）IP骨干网应设置成单个自治域，网内核心节点应设置为骨干区域（区域号为0），其他节点可以

综合地理位置以及相互之间通信量就近组成多个非骨干区域。

e）IP骨干网节点分布应能满足周边网络接入的需求，节点功能应能满足网络可扩展的需求。

f）应对新接入的网络设备发起鉴权认证，验证设备的合法性，保证非授权设备无法接入网络。

g）IP城域网汇聚层节点组织和分布应能满足业务接入和汇聚的需求。

h）IP承载网IPv6地址应使用非连续的网络地址，在统一编址的基础上满足地址随机化。

i）IP承载网在IPv6过渡环境下配置隧道，应以手工配置静态隧道为主，自动配置动态隧道为辅。

网络保护与恢复

除满足第2级的要求之外，还应满足：

a）IP承载网重要节点（如，核心节点、汇接节点等）应采用节点冗余的保护措施，保证网络具有

较高的抗灾以及灾难恢复能力。

b）IP承载网重要节点（如，核心节点、汇接节点等）间应至少保有三条不同物理路径的连接。

c）IP城域网应具有双出口。

d）IP城域网汇聚层节点应配置为双上行链路冗余保护，汇聚层节点间应设计并采用冗余链路。

e）IP城域网冗余节点应能够合理部署和整合。

f）IP承载网应根据业务或应用的需求采用业务负荷分担、网络异常流量监控等安全保护措施。

g）IP承载网相关关键数据（如配置数据、重要告警数据等）应有异址数据备份。

h）IP承载网相关的辅助IT系统（如运维、管理、监测系统等）的重要设备应采用冗余的方式保证

网络及业务的抗灾以及灾难恢复能力。

i）IP骨干网应设置异地备用网管中心。

网络管理

除满足第2级的要求之外，还应满足：

a）IP承载网的网络管理应启用访问和资源控制的安全措施，遵循最小特权原则对接口使用、访问

和资源等进行限制。

b）IP承载网的网络管理应能对链路流量进行区分，对不同的链路状态进行分析、控制和管理。

6

GB/T××××—××××

c）IP承载网的网络管理应能实现分域定制的管理功能。

d）IP承载网的网络管理原则上应具有对业务相关数据进行检测、统计、控制、过滤的功能。

e）IP承载网的网络管理管理信息及数据的机密性和完整性在传送、接收、处理和存储过程中都应

得到保证。

f）IP承载网的网络管理应能对节点、链路和各类资源的预警、告警、故障进行及时有效的定位，

相关各类预警阈值设置合理。

g）IP承载网的网络管理使用的SNMP协议原则应支持SNMPv3并支持VACM和USM安全机制，对

于远程登陆应支持SSH以及相关加密和认证算法，对于浏览器管理方式应支持TLS/TLCP安全

协议，设备支持的SNMP、SSH服务等应能在必要情况下关闭和禁用。

h）IP承载网的网络管理应能对隧道内数据进行过滤，对隧道进行流量控制和带宽使用情况统计。

i）IP承载网的网络管理应能够对安全事件进行追踪，对非法访问或入侵源进行追溯。

网络安全防范

除满足第2级的要求之外，还应满足：

a）IP承载网应能够按照分层安全原则实现安全防范的有关功能，应符合YD/T1163-2001中相关安

全机制要求。

b）在控制平面，网络和设备应根据实际情况对相关控制信息进行有效合理的加密、认证和过滤；

对于目的地址为设备本身的数据包，应具有有效的攻击识别和防范能力；对于异常数据流量具

有识别和处理能力。

c）安全日志及审计记录（或报告）应通过安全机制在本地或外部设备上进行记录、输出、存储，

日志记录保存时间不少于180天、审计记录保存时间不少于12个月。

d）应按介质特性对IP承载网的备份数据进行定期的有效性验证（至少每月一次）。

网络监测

除满足第2级的要求之外，还应满足：

a）IP承载网应根据不同的业务类型（如P2P业务、网页访问、在线视频等）对业务流量分别进行上

行和下行的流量监测；对不同流向的业务流量（如流向省内、省外、市内、市外等）分别进行

监测。

b）IP承载网应对其出口流量进行网络安全事件监测，安全事件类型包括但不限于蠕虫、木马、僵

尸网络。

c）IP承载网应建立完整的网内端到端安全框架，采用灵活、有效的服务质量和流量控制（如IPQoS、

MPLSQoS、流量映射、RSVP、码点标记、流量限速、队列调度、QPPB等）技术策略。

d）应能够对IP承载网辅助系统的重要应用软件（如数据库等）的服务能力进行监测，当其服务能

力（如数据库的表空间使用率等）降低到一定阈值时应能进行报警。

e）应能够对IP承载网的网络设备、主机设备及安全设备等产生的安全告警事件进行监测，并对安

全告警日志进行定期分析（至少每月一次）。

6.3.2设备安全要求

数据网络设备安全要求

同第2级的要求。

通用主机设备安全要求

除满足第2级的要求之外，还应满足：

a)通用设备操作系统和相关应用的帐号口令更新周期不大于60天。

7

GB/T××××—××××

b)重要的服务器、数据库等主机应使用安全性较高的身份鉴别措施（如，数字证书）对用户进行

身份鉴别。

c)通用设备应支持基于源IPv4/IPv6地址、源端口、协议类型等的访问控制列表功能。

d)应对重要信息资源设置敏感标记，应依据安全策略严格控制有关用户对有敏感标记重要信息

资源的操作。

e)应对重要主机进行入侵行为的监测，能够记录入侵源及目的地址的IP和端口、攻击类型、攻击

时间，并在发生严重入侵事件时提供报警。

f)应对重要主机的重要程序（或应用软件）的完整性进行监测，并能在其完整性受到破坏后采取

有效的安全隔离和恢复措施。

g)应定期检查并及时安装操作系统补丁，应定期检查和更新防恶意代码软件相关恶意代码库（更

新频次不少于每周一次）。

6.3.3物理环境安全要求

除满足第2级以及GB/T22239-2019中第三级的安全物理环境要求外，还应满足以下要求：

a)IP承载网相关设备所处机房整体抗震能力应不低于里氏8级，相关机架及设备需进行必要的抗

震加固，相关楼层承重能力不低于1000公斤/平方米。

b)IP承载网相关通用主机设备所处机房机架/机柜应以交替模式排列布局（即，相邻列的机架或

机柜朝向以相向/相背的设置布局交替排列）。

c)IP承载网机房应配置强无线屏蔽技术手段。

d)机房设计时不设窗或少设窗，有窗时采取严密措施防尘、防水、防潮。

6.3.4管理安全要求

除满足第2级以及GB/T22239-2019中第三级的安全管理制度、安全管理机构、安全管理人员、安全

运维管理相关要求之外，还应满足：

a）应定期对IP承载网及其所属各类设备、系统进行安全风险评估（至少每年一次）。

b）应定期组织IP承载网及其所属各类设备、系统灾难恢复预案的教育培训（至少每季度一次）和

演练（至少每半年一次）。

6.3.5软件及业务系统安全要求

除满足2级要求外，还应满足以下要求：

a）IP承载网业务网络与运维、管理、监测等辅助系统（或平台）应采用口令、令牌、基于生物特

征、数字证书以及其他具有相应安全强度的两种或两种以上的组合机制进行用户身份鉴别。

b）应对IP承载网业务网络与运维、管理、监测等辅助系统（或平台）文件的完整性进行保护，发

现非法篡改软件、配置等行为时及时告警。

c）使用了NFV和SDN技术的IP承载网，应在VNF软件包上载前、实例化以及更新时进行完整性验

证。

d）IP承载网业务网络应设置对垃圾邮件的检测和防护，并维护垃圾邮件防护机制的升级和更新。

6.4第4级要求

暂同第3级要求。

6.5第5级要求

暂同第3级要求。

7IP承载网安全防护检测要求

7.1第1级检测要求

本文件对安全等级为第1级的IP承载网暂不作要求。

7.2第2级检测要求

7.2.1网络安全

8

GB/T××××—××××

网络拓扑安全

测试编号：IP承载网-第2级-网络安全-网络拓扑安全-01

测试项目：-a，网络结构与组织应符合YD/T1170-2001要求。

测试步骤：

1)访谈IP承载网运维人员，查看网络设计/验收文档、网络拓扑文档等是否符合相关要求；

2)检查IP承载网的实际结构、网络拓扑是否符合要求；

3)进入现场检查网络及设备实际组网情况，实地查看IP承载网的拓扑、设备部署、链路

设置等情况；

4)对网络设备进行ping测试，判断其是否按照网络拓扑设计进行部署；

5)对禁止ping的设备（如部分辅助设备），使用网络拓扑发现工具对网络的设备部署进

行探测。

预期结果：

1）IP承载网实际拓扑结构、节点设备部署等与网络设计、验收文档、网络拓扑文档等一致；

2）IP承载网的拓扑、设备部署、链路设置等符合相关要求。

判定原则：

达到以上预期结果，则通过，否则不通过。

测试编号：IP承载网-第2级-网络安全-网络拓扑安全-02

测试项目：-b，节点域内接口应使用内部路由协议，域间接口应使用外部路由协议。

测试步骤：

1)访谈IP承载网运维人员，查看网络设计/验收文档、网络设备配置文档等，查看路由协

议配置情况；

2)检查并核对网络设备路由协议实际配置情况；

3)在IP承载网节点域内使用协议分析仪进行抓包，验证域内接口是否使用内部路由协议

（如，OSPF、ISIS等）；

4)在IP承载网节点域间使用协议分析仪进行抓包，验证域间接口是否使用外部路由协议

（如，BGP等）。

预期结果：

1）IP承载网实际的网络路由和配置信息与统一的路由规划一致；

2）IP承载网节点域内接口均使用内部路由协议，域间接口均使用外部路由协议。

9

GB/T××××—××××

判定原则：

达到以上预期结果，则通过，否则不通过。

测试编号：IP承载网-第2级-网络安全-网络拓扑安全-03

测试项目：-c，地址应统一规划和分配，有利于路由组织、QoS保障与用户溯源，地

址利用率合理。

测试步骤：

1)访谈IP承载网运维人员，查看网络地址规划和分配记录；

2)检查并核对网络设备实际配置地址情况；

3)根据网络拓扑和设备部署情况、业务应用和发展情况，评估地址规划策略是否有利于路

由组织并满足业务发展需求。

预期结果：

1）IP承载网地址分配和使用有统一规划；

2）IP承载网地址规划及分配、使用状况能体现网络层次性，有利于网络路由优化；

3）IPv6地址能够体现客户信息和业务类别特征，易于QoS保障与用户溯源；

4）IP承载网保留有一定的备用地址空间并能满足业务扩展的需求。

判定原则：

达到以上预期结果，则通过，否则不通过。

网络保护与恢复

测试编号：IP承载网-第2级-网络安全-网络保护与恢复-01

测试项目：-a，节点重要部件和模块应配置为主备用方式。

测试步骤：

1)访谈网络运维人员，查看网络设备配置文档、故障告警记录等，查看IP承载网网络节

点重要设备和部件的冗余情况；

2)检查IP承载网节点设备的部件（或板卡、模块等）配置和主备使用情况；

3)在业务空闲时段对IP承载网网络节点设备重要部件进行主备切换，验证其是否采用主

备冗余保护措施。

预期结果：

1）IP承载网网络节点设备主控模块采用了主备冗余保护措施；

2）IP承载网网络节点设备电源模块采用了主备冗余保护措施。

10

GB/T××××—××××

判定原则：

达到以上预期结果，则通过，否则不通过。

测试编号：IP承载网-第2级-网络安全-网络保护与恢复-02

测试项目：-b，重要节点间链路应采取链路冗余保护措施。

测试步骤：

1)访谈网络运维人员，查看网络设计、设备配置文档、故障告警记录等，查看IP承载网

重要节点间链路的冗余保护措施；

2)检查IP承载网重要节点间链路冗余配置和使用情况；

3)在业务空闲时段对IP承载网重要节点间单条链路进行切断和恢复操作，验证IP承载网

网络链路的容灾抗灾能力。

预期结果：

1）网络重要节点间链路有冗余链路相关设计且与实施部署相一致；

2）冗余链路等方式能够满足IP承载网网络链路的容灾抗灾要求；

3）冗余链路等方式保护的灾难恢复时间能够满足预先设定的目标。

判定原则：

达到以上预期结果，则通过，否则不通过。

测试编号：IP承载网-第2级-网络安全-网络保护与恢复-03

测试项目：-c，应采用链路聚合、转发检测、保护倒换、重路由等安全保护措施。

测试步骤：

1)访谈网络运维人员，查看网络设计文档、设备配置记录、运行历史记录、故障告警记录

等，查看针对业务或应用采取的安全防护措施；

2)检查IP承载网链路部署情况和重要设备配置信息是否采用了链路聚合、转发检测、保

护倒换、重路由等安全设计。

预期结果：

1）IP承载网及设备采用了链路聚合、转发检测、保护倒换、重路由等安全设计；

2）IP承载网及设备采用的上述安全保护措施能够满足业务或应用的需要。

判定原则：

达到以上预期结果，则通过，否则不通过。

11

GB/T××××—××××

测试编号：IP承载网-第2级-网络安全-网络保护与恢复-04

测试项目：-d，IP城域网络间应通过骨干网络或城域汇接节点实现互联。

测试步骤：

1)访谈网络运维人员，查看网络设计/验收文档、网络拓扑文档、设备配置记录等，查看IP

城域网间互联情况；

2)检查IP城域网是否根据实际情况规划和部署核心节点、汇接节点；

3)检查IP城域网络是否通过骨干网或城域汇接节点实现互联。

预期结果：

1）IP城域网络间互联方式与设计一致；

2）IP城域网通过骨干网或城域汇接节点进行互联。

判定原则：

达到以上预期结果，则通过，否则不通过。

测试编号：IP承载网-第2级-网络安全-网络保护与恢复-05

测试项目：-e，关键数据应有本地数据备份，并进行定期的有效性验证。

测试步骤：

1)访谈网络运维人员和安全管理人员，查看数据备份要求、安全策略、灾难应急预案、数

据备份记录等，查看IP承载网相关关键数据的备份方式；

2)检查IP承载网相关关键数据（如业务数据、设备配置数据、性能数据、告警数据等）

是否有本地数据备份；

3)通过加载备份数据等方式验证其有效性及恢复能力是否均符合要求。

预期结果：

1）关键数据（如业务数据、设备配置数据、性能数据、告警数据等）本地备份与设计/验收

文档一致；

2）拥有按介质特性对备份数据定期（至少每季度一次）进行有效性验证的制度；

3）备份数据能够完成有效性验证并与已经存档的验证记录或报告保持一致。

判定原则：

达到以上预期结果，则通过，否则不通过。

测试编号：IP承载网-第2级-网络安全-网络保护与恢复-06

12

GB/T××××—××××

测试项目：-f，灾难恢复应首先保证重要通信，然后恢复一般通信。

测试步骤：

1)访谈网络运维人员和安全管理人员，查看网络安全策略、灾难应急预案、演练记录等，

查看IP承载网的灾难恢复顺序；

2)检查网络设备的配置和策略，评估IP承载网的灾难恢复能力。

预期结果：

1）IP承载网在灾难恢复时对应急通信、重要应用和业务网络通信采取了保障措施并与优先

保障设计一致；

2）采取的灾难恢复保障措施满足优先保证应急通信、重要应用和业务网络的通信，其次恢

复一般应用和业务网络通信的要求。

判定原则：

达到以上预期结果，则通过，否则不通过。

测试编号：IP承载网-第2级-网络安全-网络保护与恢复-07

测试项目：-g，灾难备份和恢复时间应满足相关要求。

测试步骤：

1)访谈网络运维人员和安全管理人员，查看网络安全策略、灾难应急预案、演练记录等，

查看对于不同网络灾难的备份和恢复时间的相关要求；

2)在业务空闲时段模拟网络故障（链路或设备故障），验证IP承载网灾难恢复的时间是

否能满足行业管理、网络和业务运营商应急预案的要求。

预期结果：

1）IP承载网应急预案对不同的网络灾难分别有不同的备份和恢复时间的相关要求；

2）网络灾难备份和恢复时间能够满足行业管理、网络和业务运营商应急预案相关要求。

判定原则：

达到以上预期结果，则通过，否则不通过。

网络管理

测试编号：IP承载网-第2级-网络安全-网络管理-01

测试项目：-a，应采用分域的管理方式，设置分级权限。

13

GB/T××××—××××

测试步骤：

1)访谈网络运维和安全管理人员，查看网络拓扑文档、网络管理规章、设备管理记录等，

查看IP承载网的管理方式；

2)检查网络管理是否采用分域的管理方式；

3)检查网络是否根据实际需求或运维体制设置分级权限，对网络设备和运维人员进行分级

管理。

预期结果：

1）IP承载网根据网络结构特点，采用分域的管理方式；

2）网络管理根据实际需求或运维体制设置分级权限。

判定原则：

达到以上预期结果，则通过，否则不通过。

测试编号：IP承载网-第2级-网络安全-网络管理-02

测试项目：-b，业务网络与辅助系统（或平台）间应实现逻辑隔离，并启用安全域访

问控制策略。

测试步骤：

1)访谈网络运维和安全管理人员，查看网络设计文档、网络安全策略、运维管理制度、设

备配置文档等，查看IP承载网业务网络与辅助系统间的连接情况；

2)检查网络、设备的配置以及相关辅助系统的连接和组网情况；

3)从IP承载网业务网络侧访问辅助系统中的设备，验证网络与辅助系统间是否实现逻辑

隔离，评估安全域访问控制策略的应用效果；

4)使用网络维护终端访问辅助系统中的设备，验证是否有安全的访问认证措施对其进行限

制。

预期结果：

1）IP承载网运维、管理、监测等辅助系统（或平台）与业务网络间采用了逻辑隔离的隔离

措施；

2）网络维护终端访问被管理网络设备时采取了安全措施。

判定原则：

达到以上预期结果，则通过，否则不通过。

测试编号：IP承载网-第2级-网络安全-网络管理-03

测试项目：-c，应采用安全的管控信息分发和过滤机制，网络管理会话信息应通过加

密方式传送。

14

GB/T××××—××××

测试步骤：

1)访谈网络运维人员，查看网络辅助系统设计文档、系统拓扑文档、网络安全策略、设备

管理配置记录等，查看IP承载网的管理信息控制机制；

2)检查是否配备相应设备或进行有关配置，实现管理、控制信息能够安全的分发和过滤；

3)使用协议分析仪抓取管理报文，验证网络管理信息是否通过加密方式传送。

预期结果：

1）IP承载网的网络管理采用了管理信息和控制信息的安全分发、过滤等机制；

2）IP承载网的网络流量管理策略为承载网相关管理信息流提供较高的优先级；

3）IP承载网网络管理会话信息通过加密方式传送。

判定原则：

达到以上预期结果，则通过，否则不通过。

测试编号：IP承载网-第2级-网络安全-网络管理-04

测试项目：-d，网络设备应设置专用管理接口，对于发往管理和业务接口的报文进行

严格过滤和限制。

测试步骤：

1)访谈网络运维人员，查看网络安全策略、设备管理配置记录等，查看管理报文的处理机

制；

2)检查网络设备是否设置专用管理接口；

3)将被测设备的管理接口作为目的地址发送非管理报文，检查管理接口针对非管理报文的

处理情况；

4)将被测设备的业务接口作为目的地址发送管理报文，检查业务接口针对管理报文的处理

情况。

预期结果：

1）IP承载网相关网络设备均划分专用的管理接口；

2）IP承载网相关设备的专用管理接口，能够对目的地址为设备本身的非管理报文进行严格

过滤和控制；

3）IP承载网相关设备的专用管理接口，能够对目的地址为业务接口的管理报文进行严格过

滤和控制。

判定原则：

达到以上预期结果，则通过，否则不通过。

15

GB/T××××—××××

测试编号：IP承载网-第2级-网络安全-网络管理-05

测试项目：-e，网络设备如使用远程运维管理，专用管理通道应支持使用非明文数据

传输协议对设备进行管理，如HTTPS、SSHv2、SNMPv3等，保障通信数据的保密性、完整

性。

测试步骤：

1)访谈网络运维人员，是否有远程运维需要，如有需要，是否采用非明文数据传输协议（如

HTTPS、SSHv2、SNMPv3等）对设备进行远程运维管理；

2)检查对网络设备进行远程运维管理所采用的非明文数据传输协议，是否能保障通信数据

的保密性、完整性。

预期结果：

1）对于使用远程运维管理的网络设备，专用管理通道支持使用非明文数据传输协议对设备

进行管理。

判定原则：

达到以上预期结果，则通过，否则不通过。

测试编号：IP承载网-第2级-网络安全-网络管理-06

测试项目：-f，具备IPv4与IPv6双栈功能的网络设备对基于IPv4和IPv6的业务应设

置相同级别的管理控制手段。

测试步骤：

1)访谈网络运维人员，查看网络安全策略、设备管理配置记录等，查看网络设备针对IPv4

和IPv6协议的管理要求；

2)检查IPv4与IPv6双栈运行的设备是否采用了安全策略和相应的管理配置；

3)构造多种基于IPv4的业务流，使用协议分析仪进行抓包分析；

4)构造多种基于IPv6的相同业务流，使用协议分析仪进行抓包分析，验证双栈设备对基

于IPv4和IPv6的业务是否设置相同级别的管理控制策略。

预期结果：

1）IP承载网双栈设备对IPv4和IPv6均配有安全策略；

2）IP承载网双栈设备对基于IPv4和IPv6的业务均设置了相同级别的管理控制。

判定原则：

达到以上预期结果，则通过，否则不通过。

16

GB/T××××—××××

测试编号：IP承载网-第2级-网络安全-网络管理-07

测试项目：-g，网络管理应使用用户安全鉴别和认证措施，符合YD/T1478-2006的要

求。

测试步骤：

1)访谈网络运维和安全管理人员，查看网络运维管理规章、网络安全策略、设备配置文档

等，查看IP承载网网络管理针对用户认证的要求；

2)检查网络管理设备是否采用了用户安全鉴别和认证措施，用户登录口令是否符合要求；

3)构造特殊用户名尝试登录网络管理设备。

预期结果：

1）网络管理使用了用户安全鉴别和认证措施，符合YD/T1478-2006标准要求。

判定原则：

达到以上预期结果，则通过，否则不通过。

测试编号：IP承载网-第2级-网络安全-网络管理-08

测试项目：-h，应有网络拓扑图（或记录完整拓扑信息的运维文档）。

测试步骤：

1)访谈网络运维和安全管理人员，查看网络拓扑文档；

2)检查和验证网络拓扑记录信息是否与当前网络节点、链路等资源配置和运营情况相一

致。

预期结果：

1）绘制有网络拓扑图（或记录完整拓扑信息的运维文档），且相关信息标注完整、准确；

2）网络拓扑图（或记录完整拓扑信息的运维文档）及相关信息与当前网络节点、链路等资

源配置和运营情况相符合。

判定原则：

达到以上预期结果，则通过，否则不通过。

网络安全防范

测试编号：IP承载网-第2级-网络安全-网络安全防范-01

测试项目：-a，相关系统、设备对用户应启用登录失败保护和处理措施。

17

GB/T××××—××××

测试步骤：

1)访谈网络安全管理人员，查看网络设计文档、网络安全策略、设备配置记录、故障告警

记录、日志文件资料等，查看维护帐户登录失败的处理方式；

2)检查IP承载网相关系统、设备的基本配置信息，对各类维护用户是否均启用登录失败

保护和处理措施；

3)使用正常用户登录相关系统，输入错误口令，测试处理措施的实际应用效果。

4)使用非法用户登录相关系统，测试处理措施的实际应用效果。

预期结果：

1）IP承载网相关系统、设备对各类管理和维护用户采用了登录失败保护和处理措施。

判定原则：

达到以上预期结果，则通过，否则不通过。

测试编号：IP承载网-第2级-网络安全-网络安全防范-02

测试项目：-b，IP城域网核心层、汇聚层和接入层都应启用源地址认证策略。

测试步骤：

1)访谈网络运维和安全管理人员，查看网络安全策略、设备配置记录、故障告警记录、日

志文件资料等，查看源地址认证策略的部署情况；

2)检查IP城域网核心层、汇聚层和接入层在数据转发平面是否均启用源地址认证策略；

3)分别向IP城域网核心层、汇聚层和接入层发送伪造地址数据包，验证其是否配有源地

址认证策略。

预期结果：

1）在数据转发平面，有源地址认证设计；

2）IP城域网核心层、汇聚层和接入层启用源地址认证策略；

3）源地址认证策略能满足有效防止网内地址仿冒的要求。

判定原则：

达到以上预期结果，则通过，否则不通过。

测试编号：IP承载网-第2级-网络安全-网络安全防范-03

测试项目：-c，应采用有效的QoS和流量管理策略，保证管控信息具有较高的优先级，

对广播、泛播、组播类数据流量进行限制和管理。

18

GB/T××××—××××

测试步骤：

1)访谈网络运维和安全管理人员，查看网络设计文档、网络安全策略、设备配置记录等，

查看所采用的QoS和流量管理策略；

2)